امضای DNSSEC چیست؟

وقتی کسی نشانی سایت شما را باز می‌کند، دستگاهش از یک سرور DNS می‌پرسد آی‌پی این دامنه چیست. در حالت عادی هیچ راهی نیست که بفهمد پاسخ واقعاً از سرور DNS شما آمده یا کسی در مسیر آن را عوض کرده است. امضای DNSSEC به هر پاسخ یک امضای دیجیتال اضافه می‌کند تا سرورهای DNS که امضا را بررسی می‌کنند پاسخ دستکاری‌شده را تشخیص دهند و رد کنند.

چرا مهم است؟

بدون DNSSEC مهاجمی که بتواند پاسخ DNS جعلی برساند، می‌تواند بازدیدکننده‌ها را به سرور خودش بفرستد یا ایمیل‌های دامنه را به جای دیگری هدایت کند. با DNSSEC چنین پاسخی امضای درست ندارد و سرورهایی که امضا را بررسی می‌کنند آن را دور می‌اندازند.

دو نیمهٔ کار

روشن کردن DNSSEC دو قسمت دارد: سرویس DNS شما (جایی که رکوردها را ویرایش می‌کنید) باید رکوردها را امضا کند، و ثبت‌کنندهٔ دامنه (جایی که دامنه را خریده‌اید) باید یک رکورد DS در دامنهٔ بالادستی بگذارد که به کلید امضای شما اشاره می‌کند. اگر سرویس DNS و ثبت‌کننده یکی باشند، معمولاً هر دو با یک کلید انجام می‌شود؛ بعضی سرویس‌ها رکورد DS را هم خودکار به ثبت‌کننده می‌فرستند.

1. در پنل سرویس DNS دامنه، بخش DNSSEC را پیدا و روشنش کنید. سرویس، رکوردها را امضا می‌کند و مقدار رکورد DS را نشان می‌دهد.
2. مقدارهای DS را یادداشت کنید: شناسهٔ کلید (Key Tag)، الگوریتم، نوع چکیده (Digest Type) و خود چکیده. نمونه را پایین‌تر ببینید.
3. در پنل ثبت‌کنندهٔ دامنه، بخش DNSSEC یا رکورد DS را باز کنید و همین مقدارها را دقیقاً وارد کنید. اگر سرویس DNS گفته این کار خودکار است، از این قدم بگذرید.
4. چند ساعت صبر کنید؛ رسیدن رکورد DS به دامنهٔ بالادستی ممکن است طول بکشد.
5. در صفحهٔ DNS چک‌نت دامنه را دوباره بررسی کنید؛ باید ردیف «امضای DNSSEC فعال است» را ببینید.

example.com.  3600  IN  DS  2371 13 2 1F987CC6583E92DF0890718C42...

خطر زنجیرهٔ شکسته

اگر رکورد DS نزد ثبت‌کننده بماند ولی رکوردها دیگر با کلید متناظر امضا نشوند، سرورهای DNS که امضا را بررسی می‌کنند دامنه را کاملاً نامعتبر می‌دانند و سایت و ایمیل برای بسیاری از کاربران از دسترس خارج می‌شود. این بیشتر هنگام جابه‌جایی سرویس DNS پیش می‌آید.

• هنگام رفتن به سرویس DNS دیگر: اول رکورد DS را نزد ثبت‌کننده پاک کنید، دست‌کم یکی دو روز صبر کنید تا پاسخ‌های قدیمی از حافظهٔ سرورها پاک شود، بعد سرورهای نام را عوض کنید و در سرویس تازه DNSSEC را از نو روشن کنید.
• هنگام خاموش کردن DNSSEC: باز هم اول رکورد DS را پاک کنید و بعد از گذشت زمان کافی امضا را خاموش کنید؛ ترتیب برعکس دامنه را از کار می‌اندازد.
• اشتباه در کپی کردن مقدار DS: یک حرف اشتباه هم زنجیره را می‌شکند. مقدار را مستقیماً از پنل سرویس DNS کپی کنید.

همهٔ دامنه‌های سطح بالا از DNSSEC پشتیبانی نمی‌کنند و همهٔ ثبت‌کننده‌ها هم امکان ثبت رکورد DS را نمی‌دهند. اگر پنل ثبت‌کننده چنین بخشی ندارد، از پشتیبانی آن بپرسید.

بررسی با چک‌نت

در صفحهٔ DNS چک‌نت، ردیف «امضای DNSSEC فعال است» یعنی دامنهٔ بالادستی رکورد DS دارد و سروری که پرس‌وجو را انجام داده پاسخ را تأیید کرده است. اگر «امضای DNSSEC فعال نیست» دیدید، یکی از دو نیمهٔ کار انجام نشده یا هنوز به همه جا نرسیده است.